Kerngegevens
- Product
- LiteLLM
- Soort software
- –
- Getroffen versies
- LiteLLM 1.74.2 tot vóór 1.83.7
- Oplossing
- Update beschikbaar
- Opgeloste versie
- LiteLLM 1.83.7
- CVE gepubliceerd
- 8 mei 2026
- Op de KEV-lijst sinds
- 8 juni 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In LiteLLM, een proxyserver (AI Gateway) om LLM-API's aan te roepen, zitten twee endpoints om een MCP-server te testen voordat je die opslaat. Die endpoints accepteren een complete serverconfiguratie, inclusief een commando met argumenten en omgevingsvariabelen. Daardoor kan een aanvaller de server een eigen commando laten starten op de host van de proxy. Het lek staat sinds juni 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je een LiteLLM-proxy draait met een versie vanaf 1.74.2 tot en met versies vóór 1.83.7. Een aanvaller heeft alleen een geldige API-sleutel van de proxy nodig. Een sleutel van een gewone interne gebruiker is al genoeg, want er is geen controle op de rol. Het commando draait met de rechten van het proxyproces. Is je proxy bereikbaar via het netwerk, dan is het risico groter.
Wat moet je doen?
Controleer je versie
Kijk na of je LiteLLM gebruikt en welke versie draait. Versies vanaf 1.74.2 tot vóór 1.83.7 zijn getroffen.
Werk bij naar 1.83.7
Installeer LiteLLM 1.83.7 of nieuwer. In die versie is het lek verholpen.
Beperk de toegang tot de proxy
Zorg dat alleen vertrouwde gebruikers en systemen de proxy kunnen bereiken en dat je niet meer API-sleutels uitgeeft dan nodig. Zolang je niet kunt bijwerken, beperkt dit het risico.
Controleer je systeem
Kijk of er onverwachte processen of wijzigingen op de host van de proxy zijn. Het lek wordt actief misbruikt, dus dit verdient aandacht.
Gebruik je een pakket van Red Hat?
Volg dan de adviezen van Red Hat voor dit lek. Het advies van de leverancier van LiteLLM vind je onder de bronnen.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-42208. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De endpoints POST /mcp-rest/test/connection en POST /mcp-rest/test/tools/list nemen in de requestbody een volledige MCP-serverconfiguratie aan. Daarbij horen de velden command, args en env van het stdio-transport. Bij een stdio-configuratie probeert de proxy verbinding te maken en start daarvoor het opgegeven commando als subprocess op de proxyhost, met de rechten van het proxyproces. De endpoints worden alleen beschermd door een geldige proxy-API-sleutel en hebben geen rolcontrole. Elke geauthenticeerde gebruiker, ook met een sleutel met weinig rechten, kan dus willekeurige commando's uitvoeren. Het lek is verholpen in versie 1.83.7.
CVSS-vector (versie 3.1, basisscore 8,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-77 · Commando-injectie (onjuiste neutralisatie van speciale elementen in een commando)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 91,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 8 juni 2026
- Deadline van CISA
- 22 juni 2026
- Gebruikt door ransomwaregroepen
- Niet bekend